Suplantación de identidad online

La suplantación de identidad online es una expresión de uso común para describir situaciones en las que alguien se hace pasar por otra persona en internet. Jurídicamente, no existe siempre una única etiqueta válida: según los hechos, puede analizarse como usurpación de estado civil, estafa, acceso ilícito a cuentas, falsedad, daños reputacionales, descubrimiento y revelación de secretos o uso indebido de datos personales. La calificación exacta dependerá del caso, de la prueba disponible y de la vía que se ejercite.

En términos prácticos, hablar de suplantación de identidad online suele significar que alguien crea un perfil falso, usa tus datos o accede a una cuenta para aparentar que eres tú. Pero no toda conducta encaja igual en derecho ni toda incidencia digital constituye por sí sola un delito de usurpación de identidad. Por eso conviene diferenciar bien si hay engaño patrimonial, acceso a cuentas, difusión de datos, afectación reputacional o una atribución bastante y relevante de la identidad ajena.

Qué se entiende por suplantación de identidad online y por qué conviene distinguir varios supuestos

No es lo mismo que un tercero abra una cuenta con tu nombre y foto en una red social, que acceda a tu correo para escribir a tus contactos, que utilice tus datos para contratar servicios o que engañe a otras personas en un marketplace aparentando ser tú. En el lenguaje cotidiano todo ello puede llamarse robo de identidad online, pero desde un punto de vista jurídico conviene separar conductas.

La referencia penal más delicada es la usurpación de estado civil del artículo 401 del Código Penal. Su aplicación exige cautela: no suele bastar cualquier uso aislado de un nombre o una foto, sino una atribución de identidad ajena con cierta entidad y relevancia. En otros casos, el núcleo del problema puede estar en el fraude online, en el acceso no autorizado a cuentas, en el uso indebido de datos personales o en la creación de un perfil falso con impacto reputacional.

Cuándo puede tener relevancia penal y cuándo el problema es de datos, cuentas o reputación

Puede haber relevancia penal si la conducta va más allá de una mera apariencia superficial y se orienta a hacerse pasar de forma efectiva por otra persona. También habrá que valorar la vía penal si existe engaño con desplazamiento patrimonial, por ejemplo cuando alguien usa tu identidad para pedir pagos, vender productos inexistentes o captar dinero de terceros.

Si además se ha producido acceso a cuentas de correo, mensajería, banca digital o redes sociales, el foco puede situarse en el acceso no autorizado o en el eventual descubrimiento de secretos, según lo ocurrido y lo que pueda probarse. Distinto es el supuesto en que se usan tus datos personales sin consentimiento para crear perfiles, publicar anuncios o contactar con terceros: ahí puede entrar en juego la normativa de protección de datos en su vertiente administrativa o de tutela de derechos, en particular el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, sin que ello implique automáticamente una consecuencia penal o una indemnización.

En la práctica, una suplantación de identidad en redes sociales puede requerir varias respuestas a la vez: reporte ante la plataforma, preservación de la prueba digital y, si hay perjuicio económico, reputacional o acceso a información privada, valoración de acciones adicionales.

Qué pruebas conviene reunir para denunciar o reclamar

Antes de actuar, conviene ordenar la prueba digital. Cuanto mejor documentado esté el caso, más fácil será valorar si procede denunciar suplantación de identidad, reclamar ante una plataforma o dirigirse a un banco o proveedor.

• Capturas de pantalla completas donde se vea el perfil, la fecha, el nombre de usuario y el contenido publicado.
• URLs exactas del perfil, anuncio, publicación o conversación.
• Mensajes recibidos por terceros que acrediten que alguien se hacía pasar por ti.
• Correos de alertas de acceso, cambios de contraseña o inicios de sesión sospechosos.
• Extractos bancarios, justificantes de pago o incidencias con proveedores si hubo perjuicio económico.
• Acreditación de tu identidad real y de la titularidad de la cuenta afectada, si existe una cuenta suplantada.

Si el daño puede agravarse, también puede ser útil dejar constancia técnica o documental más robusta. La conveniencia de una certificación adicional dependerá del alcance del conflicto y de la finalidad de la prueba.

Qué pasos pueden darse si alguien usa tu identidad en internet

1. Asegurar cuentas y accesos: cambiar contraseñas, activar verificación en dos pasos y revisar dispositivos vinculados si hubo acceso a email, redes o banca digital.
2. Reportar ante la plataforma: muchas redes, marketplaces y servicios admiten reclamación ante plataforma por perfil falso, uso de imagen o retirada de contenido. La respuesta dependerá de sus políticas y de la documentación aportada.
3. Contactar con banco o proveedor: si hay operaciones no reconocidas, contratación fraudulenta o acceso a servicios, conviene comunicar la incidencia cuanto antes y seguir los canales de seguridad de la entidad.
4. Valorar denuncia penal: puede ser razonable si los hechos presentan entidad suficiente, hay perjuicio económico, acceso ilícito a cuentas, uso persistente de la identidad ajena o afectación grave.
5. Analizar la vía de protección de datos: si el problema principal es el uso indebido de datos personales, puede valorarse el ejercicio de derechos o una reclamación ante la AEPD, según el responsable identificado y la documentación disponible.

Qué puede reclamarse según el daño causado

Lo reclamable depende del perjuicio concreto. Si hubo daños económicos o reputacionales, habrá que valorar si existen bases para pedir la cesación de la conducta, la retirada de contenido, la rectificación frente a terceros o una eventual responsabilidad civil. Si el problema se centra en operaciones bancarias o contratación fraudulenta, la actuación frente a la entidad o proveedor será distinta de la discusión penal.

En materia de datos personales, puede interesar identificar quién trató los datos, con qué base y con qué alcance. En algunos supuestos la prioridad no será una indemnización inmediata, sino frenar el uso ilegítimo, acreditar la incidencia y encauzar correctamente la reclamación.

Errores frecuentes al actuar ante una suplantación de identidad online

• Borrar mensajes o conversaciones antes de guardar evidencias.
• Pensar que todo caso encaja automáticamente en el artículo 401 del Código Penal.
• Confundir una suplantación con un simple conflicto de marca personal, una parodia identificable o un acceso técnico sin uso posterior de identidad ajena.
• Limitarse a reportar el perfil sin revisar seguridad de correo, banca o dispositivos.
• Dar por hecho que la normativa de protección de datos resuelve por sí sola un problema penal o reputacional.

La clave es no sobredimensionar ni minimizar los hechos: hay casos leves que se encauzan con retirada de contenido y otros en los que el impacto exige una estrategia probatoria y jurídica más completa.

Idea clave y siguiente paso razonable

La suplantación de identidad online no se resuelve con una respuesta única, porque puede encajar en varias conductas distintas según cómo se hayan usado la identidad, los datos o las cuentas. Lo prudente es revisar qué ha pasado exactamente, conservar bien la prueba, asegurar accesos y valorar si procede denunciar, reclamar ante la plataforma, actuar frente a banco o proveedor o analizar la vertiente de protección de datos.

Si el caso te ha generado perjuicio económico, acceso a información privada o un daño reputacional relevante, puede ser útil estudiar la documentación antes de mover ficha, para elegir la vía más sólida y evitar errores difíciles de corregir después.

Fuentes oficiales

• Código Penal español, con referencia al artículo 401 sobre usurpación de estado civil, en el BOE.
• Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.